CVE-2026-8198 in Activity Logs, User Activity Tracking, Multisite Activity Log Plugin
Сводка
по VulDB • 17.05.2026
В плагине Logtivity для WordPress модули Activity Logs, User Activity Tracking и Multisite Activity Log уязвимы к обходу аутентификации (Authentication Bypass) с последующим раскрытием информации (Information Disclosure) в версиях вплоть до 3.3.6 включительно. Это обусловлено логической ошибкой в методе verifyAuthorization, где запросы без заголовка Authorization пропускают проверку токена Bearer и переходят к безусловному возврату true, тем самым обходя все проверки аутентификации. Это позволяет неаутентифицированным злоумышленникам обращаться к конечной точке REST API /wp-json/logtivity/v1/options и получать все параметры конфигурации плагина, включая logtivity_site_api_key, который может быть использован для маскировки под сайт при вызовах API к сервису Logtivity.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.